Surveillance Aurora à l'aide des flux d'activité des bases de données

En utilisant les flux d'activité de base de données, vous pouvez surveiller en temps quasi réel les flux d'activité de base de données.

Rubriques

• Présentation des flux d'activité de base de données
• Prérequis réseau pour les flux d'activité de base de données Aurora MySQL
• Démarrage d'un flux d'activité de base de données
• Obtention de l'état d'un flux d'activité de base de données
• Arrêt d'un flux d'activité de base de données
• Surveillance des flux d'activité de base de données
• IAMexemples de politiques pour les flux d'activité des bases de données

Présentation des flux d'activité de base de données

En tant qu'administrateur de RDS base de données Aurora, vous devez protéger votre base de données et respecter les exigences réglementaires et de conformité. Une politique consiste à intégrer les flux d'activités de base de données avec vos outils de surveillance. De cette façon, vous surveillez et définissez des alarmes pour l'activité d'audit dans votre de données de clusters Amazon Aurora.

Les menaces de sécurité sont à la fois externes et internes. Pour vous protéger contre des menaces internes, vous pouvez contrôler l'accès administrateur aux flux de données à l'aide de la fonction Database Activity Streams. DBAs n'a pas accès à la collecte, à la transmission, au stockage et au traitement des flux.

Table des matières

• Fonctionnement des flux d'activité de base de données
• Mode asynchrone et synchrone pour les flux d'activité de base de données
• Exigences et limites pour les flux d'activité de base de données
• Disponibilité des régions et des versions
• Classes d'instance de base de données prises en charge pour les flux d'activité de base de données

Fonctionnement des flux d'activité de base de données

Dans Amazon Aurora, vous démarrez un flux d'activité de base de données au niveau du cluster. Toutes les instances de base de données de votre cluster disposent de flux d'activité de base de données activés.

, votre cluster de base de données RDS Aurora, transmet les activités vers un flux de données Amazon Kinesis en temps quasi réel. Le flux Kinesis est créé automatiquement. Kinesis vous permet de configurer des AWS services tels qu'Amazon Data Firehose, de consommer le flux et AWS Lambda de stocker les données.

Important

L'utilisation de la fonctionnalité de flux d'activité de base de données d'Amazon Aurora est gratuite, mais Amazon Kinesis facture un flux de données. Pour plus d'informations, consultez la Tarification d'Amazon Kinesis Data Streams.

Si vous utilisez une base de données globale Aurora, démarrez un flux d'activité de base de données sur chaque cluster de base de données séparément. Chaque cluster fournit des données d'audit à son propre flux Kinesis au sein de sa propre Région AWS. Les flux d'activité ne fonctionnent pas différemment lors d'un basculement. Ils continuent à auditer votre base de données globale comme d'habitude.

Vous pouvez configurer les applications de gestion de la conformité pour qu'elles consomment les flux d'activité des bases de données. Pour Aurora PostgreSQL, les applications de conformité incluent Security IBM Guardium et Imperva SecureSphere Database Audit and Protection. Ces applications peuvent utiliser le flux pour générer des alertes et auditer l'activité sur votre cluster de base de données Aurora.

Le graphique suivant montre un cluster de base de données Aurora configuré avec Amazon Data Firehose.

Mode asynchrone et synchrone pour les flux d'activité de base de données

Vous pouvez choisir que la session de base de données gère les événements d'activité de base de données dans l'un des modes suivants :

• Mode asynchrone : quand une session de base de données génère un événement de flux d'activité, la session revient immédiatement aux activités normales. En arrière-plan, l'événement du flux d'activité est converti en enregistrement durable. Si une erreur se produit dans la tâche en arrière-plan, un RDS événement est envoyé. Cet événement indique le début et la fin de toute fenêtre de temps au cours de laquelle des enregistrements d'événement de flux d'activité ont pu être perdus.

  Le mode asynchrone favorise les performances de la base de données plutôt que la précision du flux d'activité.

  Note

  Le mode asynchrone est disponible pour Aurora Postgre et SQL Aurora My. SQL

• Mode synchrone : quand une session de base de données génère un événement de flux d'activité, la session bloque d'autres activités jusqu'à ce que l'événement devienne durable. Si l'événement ne peut pas devenir durable pour une raison quelconque, la session de base de données reprend une activité normale. Cependant, un RDS événement est envoyé indiquant que les enregistrements du flux d'activité peuvent être perdus pendant un certain temps. Un deuxième RDS événement est envoyé une fois que le système est revenu à un état normal.

  Le mode synchrone favorise la précision du flux d'activité plutôt que les performances de la base de données.

  Note

  Le mode synchrone est disponible pour Aurora SQL Postgre. Vous ne pouvez pas utiliser le mode synchrone avec Aurora MySQL.

Exigences et limites pour les flux d'activité de base de données

Dans Aurora , les flux d'activité des bases de données présentent les exigences et limites suivantes :

• Amazon Kinesis est nécessaire pour les flux d'activité des bases de données.

• AWS Key Management Service (AWS KMS) est obligatoire pour les flux d'activité de base de données car ils sont toujours chiffrés.

• L'application d'un chiffrement supplémentaire à votre flux de données Amazon Kinesis est incompatible avec les flux d'activité de base de données, qui sont déjà chiffrés avec votre AWS KMS clé.

• Démarrez le flux d'activité de votre base de données au niveau du cluster de base de données. Si vous ajoutez une instance de base de données à votre cluster, vous n'avez pas besoin de lancer un flux d'activité sur l'instance : elle est automatiquement auditée.

• Dans une base de données globale Aurora, assurez-vous de démarrer un flux d'activité sur chaque cluster de base de données séparément. Chaque cluster fournit des données d'audit à son propre flux Kinesis au sein de sa propre Région AWS.

• Dans Aurora PostgreSQL, assurez-vous d'arrêter le flux d'activité de la base de données avant une mise à niveau. Vous pouvez lancer le flux d'activité de la base de données une fois la mise à niveau terminée.

Disponibilité des régions et des versions

La disponibilité et la prise en charge des fonctions varient selon les versions spécifiques de chaque moteur de base de données Aurora, et selon les Régions AWS. Pour plus d'informations sur la disponibilité des versions et des régions avec Aurora et les flux d'activité des bases de données, consultez Régions et moteurs de base de données Aurora pris en charge pour les flux d'activité des bases de données.

Classes d'instance de base de données prises en charge pour les flux d'activité de base de données

Pour Aurora MySQL, vous pouvez utiliser les flux d'activité de base de données avec les classes d'instances de base de données suivantes :

• db.r7g.*large

• db.r6g.*large

• db.r6i.*large

• db.r5.*large

• db.x2g.*

Pour Aurora PostgreSQL, vous pouvez utiliser les flux d'activité de base de données avec les classes d'instances de base de données suivantes :

• db.r7g.*large

• db.r6g.*large

• db.r6i.*large

• db.r6id.*large

• db.r5.*large

• db.r4.*large

• db.x2g.*